Всичко, което трябва да знаете за Petna, рансъмуер вирус от семейство Petya. Вирусът Petya: как да не го хванете, как да го дешифрирате, откъде идва - последните новини за рансъмуера Petya (ExPetr) Съобщения за вируса petya

Това заключение е резултат от проучване на две компании едновременно - Comae Technologies и Kaspersky Lab.

Оригиналният зловреден софтуер Petya, открит през 2016 г., беше машина за правене на пари. Тази проба определено не е предназначена за правене на пари. Заплахата е предназначена да се разпространява бързо и да причинява щети и се маскира като рансъмуер.

NotPetya не е инструмент за почистване на диск. Заплахата не изтрива данни, а просто ги прави неизползваеми чрез заключване на файлове и изхвърляне на ключове за дешифриране.

Старши изследовател от Kaspersky Lab Хуан Андре Гереро-Сааде коментира ситуацията:

В моята книга инфекция с ransomware без възможен механизъм за дешифриране е еквивалентна на изтриване на диск. Без да вземат предвид жизнеспособен механизъм за дешифриране, нападателите показаха пълно пренебрежение към дългосрочната парична печалба.

Авторът на оригиналния ransomware Petya написа в Туитър, че няма нищо общо с разработката на NotPetya. Той стана вторият киберпрестъпник, който отрича участие в създаването на нова подобна заплаха. Преди това авторът на рансъмуера AES-NI заяви, че няма нищо общо с XData, който също е бил използван при целенасочени атаки срещу Украйна. В допълнение, XData, подобно на NotPetya, използва идентичен вектор за разпространение - актуализиращи сървъри от украински производител софтуерза счетоводство.

Много косвени признаци подкрепят теорията, че някой краква известен ransomware и използва модифицирани версиида атакува украински потребители.

Разрушителните модули, маскирани като рансъмуер, вече ли са обичайна практика?

Подобни случаи вече е имало. Използването на злонамерени модули за трайно увреждане на файлове под прикритието на обикновен ransomware не е нова тактика. В съвременния свят това вече се превръща в тенденция.

Миналата година семействата злонамерен софтуер Shamoon и KillDisk включваха „компоненти на ransomware“ и използваха подобни техники за унищожаване на данни. В днешно време дори индустриалният зловреден софтуер получава функции за почистване на диска.

Класифицирането на NotPetya като инструмент за унищожаване на данни може лесно да прекласифицира зловреден софтуер като кибер оръжие. В този случай анализът на последиците от заплахата трябва да се разглежда от друга гледна точка.

Имайки предвид началната точка на заразяване и броя на жертвите, става очевидно, че целта на хакерската атака е Украйна. включено в моментаНяма очевидни доказателства, сочещи с пръст нападателя, но украинските власти вече обвиниха Русия, която също обвиниха за минали кибер инциденти, датиращи от 2014 г.

NotPetya може да се изравни с добре познатите семейства зловреден софтуер Stuxnet и BlackEnergy, които са били използвани за политически цели и за разрушителни ефекти. Доказателствата ясно показват, че NotPetya е кибер оръжие, а не просто много агресивна форма на ransomware.

Вирусът Petya ransomware атакува компютри в Украйна, Русия, Швеция, Холандия, Дания и други страни. Появата на вируса току-що беше регистрирана в Азия: в Индия системата за управление на товарния поток на най-голямото контейнерно пристанище в страната се провали. Най-много обаче пострада Украйна - летището в Харков е напълно парализирано, възстановена е работата на летище Бориспол, но основният сървър все още не работи. Общо около 300 хиляди компютъра са блокирани; потребителят трябва да плати 300 долара, за да отключи данните. Досега около 5000 долара са били платени на хакерите от 20 потребители, съобщава Next Web.

Кой е виновен?

През нощта отделът за киберполиция на Националната полиция на Украйна съобщи на страницата си във Facebook, че атаката срещу Украйна е извършена чрез програмата за отчетност и управление на документи „M.E.doc“:

Полицията съобщава, че атаката е започнала в 10:30 московско време, след като разработчиците на софтуера пуснаха следващата актуализация. В същото време самите автори на програми за автоматизация на документи категорично отричат ​​участието си и дават подробни аргументи:

По-късно на страницата на Cyber ​​​​Police се появи съобщение, че те не обвиняват компанията M.E.doc, а само посочват, че са установени факти, които трябва да бъдат подробно проверени. Въпреки това все още не се препоръчва да инсталирате актуализацията:

Коя е Петя?

Както експертите на Positive Technologies казаха на сайта, това е зловреден софтуер, чийто принцип на работа се основава на криптиране на главния запис за зареждане (MBR) на сектора за зареждане на диска и замяната му със собствен.

Дори след като компютърът е заразен, на потребителя остават 1-2 часа, в които да изпълни командата bootrec /fixMbr за възстановяване на MBR и възстановяване на операционната система, но файловете няма да могат да бъдат декриптирани.

Освен това Petya може да заобиколи актуализациите за сигурност на системата, инсталирани след атаката на WannaCry, поради което е толкова ефективна и се разпространява като лавина към други компютри. Бори се за контрол над всички възли в домейна, което е еквивалентно на пълен компромет на инфраструктурата.

Вирусната атака срещу компютрите на украински държавни и частни компании започна в 11:30 часа. Големи банки бяха атакувани търговски вериги, оператори клетъчни комуникации, държавни фирми, инфраструктурни съоръжения и предприятия за услуги.

Вирусът обхвана цялата територия на Украйна, към 17:00 часа се появи информация, че е регистрирана атака в самия запад на страната, в Закарпатието: тук поради вируса бяха затворени клонове на банка OTR и Ukrsotsbank.

„Популярният в Украйна сайт Korrespondent.net и телевизионният канал „24“ не работят. Броят на компаниите, засегнати от атаката, се увеличава с всеки час. В момента повечето банкови клонове не работят в Украйна. Например в офисите на Ukrsotsbank компютрите просто не се зареждат. Не можете да получавате или изпращате пари, да плащате разписки и т.н. В същото време в PrivatBank няма проблеми“, съобщава кореспондентът на RT в Киев.

Вирусът засяга само компютри, работещи с операционна система Windows. Той криптира основната файлова таблица на твърдия диск и изнудва пари от потребителите за дешифриране. По това той е подобен на рансъмуер вируса WannaCry, който атакува много компании по света. В същото време вече се появиха резултатите от сканиране на заразени компютри, които показват, че вирусът унищожава цялата или по-голямата част от информацията на заразените дискове.

IN настоящ моментВирусът е идентифициран като mbr locker 256, но в медиите нашумя друго име - Петя.

От Киев до Чернобил

Вирусът засегна и киевското метро, ​​където в момента има затруднения с плащането с банкови карти.

Поразени са много големи инфраструктурни съоръжения, като държавния железопътен оператор Ukrzaliznytsia и летище Бориспол. Въпреки това, въпреки че работят нормално, аеронавигационните системи не са засегнати от вируса, въпреки че Бориспол вече публикува предупреждение за възможни променипо график, но таблото за пристигащи на самото летище не работи.

Заради атаката двата най-големи пощенски оператора в страната изпитват затруднения в работата си: държавната Ukrposhta и частната " Нова поща" Последният обяви, че днес няма да има такса за съхранение на колети, а Ukrposhta се опитва да сведе до минимум последствията от атаката с помощта на SBU.

Поради риск от заразяване не работят и сайтовете на тези организации, които не са били засегнати от вируса. Поради тази причина, например, сървърите на уебсайта на Киевската градска държавна администрация, както и уебсайтът на Министерството на вътрешните работи на Украйна бяха деактивирани.

Украинските власти очаквано твърдят, че атаките идват от Русия. Това каза секретарят на Съвета за национална сигурност и отбрана на Украйна Александър Турчинов. „Още сега, след извършване на първоначален анализ на вируса, можем да говорим за руска следа“, цитира думите му официалният сайт на ведомството.

Към 17:30 ч. вирусът достигна дори атомната електроцентрала в Чернобил. Това съобщи за изданието "Украинская правда" Владимир Илчук, началник смяна в Чернобилската атомна електроцентрала.

„Има предварителна информация, че някои компютри са били заразени с вирус. Ето защо, веднага щом започна тази хакерска атака, беше дадена лична команда на компютърните работници на персонала да изключат компютрите“, каза Илчук.

Атака срещу сладкиши и петрол и газ

Хакерска атака във вторник, 27 юни, също засегна някои руски компании, включително петролните и газови гиганти Роснефт и Башнефт, металургичната компания Евраз, Хоум Кредит Банк, чиито клонове преустановиха дейността си, както и руските представителства на Марс, Нивеа, Монделиз Интернешънъл, ТЕСА и редица други чуждестранни компании.

  • Ройтерс
  • МАКСИМ ШЕМЕТОВ

Около 14:30 московско време Роснефт обяви мощна хакерска атака срещу сървърите на компанията. В същото време микроблогът на компанията в Twitter отбелязва, че атаката може да доведе до сериозни последствия, но благодарение на прехода към резервна системауправление на производствените процеси, нито производството на масло, нито подготовката на маслото са спрени.

След кибератаката сайтовете на компаниите Роснефт и Башнефт станаха недостъпни за известно време. Роснефт също така заяви, че е недопустимо да се разпространява невярна информация за атаката.

„Разпространителите на фалшиви паник съобщения ще се считат за съучастници на организаторите на атаката и ще носят отговорност заедно с тях“, казаха от компанията.

В същото време Роснефт отбеляза, че компанията се е свързала с правоприлагащите органи във връзка с кибератаката и изрази надежда, че инцидентът по никакъв начин не е свързан „с текущите съдебни процедури“. На 27 юни, вторник, арбитражен съдБашкирия започна разглеждане по същество на иска на Роснефт, Башнефт и Башкирия срещу АФК Система в размер на 170,6 милиарда рубли.

WannaCry Jr.

Хакерската атака обаче не е повлияла на работата компютърни системиадминистрацията на президента на Русия и официалният сайт на Кремъл, който, както каза прессекретарят на президента Дмитрий Песков пред ТАСС, „работи стабилно“.

Хакерската атака също не е повлияла по никакъв начин на работата на руските АЕЦ, отбелязват от концерна "Росенергоатом".

Фирма Dr. Web на своя уебсайт заяви, че въпреки външната прилика, текущата атака е извършена с помощта на вирус, който се различава от вече известния зловреден софтуер Petya ransomware, по-специално по механизма, чрез който заплахата се разпространява.

„Сред жертвите на кибератаката бяха мрежите на Bashneft, Rosneft, Mondelez International, Mars, Nivea, TESA и други“, цитира агенцията съобщение на компанията. В същото време пресслужбата на Mars в Русия заяви, че кибератаката е причинила проблеми с ИТ системите само на марката Royal Canin, производител на храна за животни, а не на цялата компания.

Последната голяма хакерска атака срещу руски компании и държавни агенции се случи на 12 май като част от мащабна операция на неизвестни хакери, които атакуваха компютри с Windows в 74 страни, използвайки вируса рансъмуер WannaCry.

Във вторник ръководителят на международния комитет на Съвета на федерацията Константин Косачев, говорейки на заседание на комисията на Съвета на федерацията за защита на държавния суверенитет, каза, че около 30% от всички кибератаки срещу Русия се извършват от територията на САЩ .

„Не повече от 2% от общия брой кибератаки се извършват от руска територия към американски компютри, докато 28-29% се извършват от територията на САЩ към руска електронна инфраструктура“, цитира РИА Новости думите на Косачев.

Според ръководителя на международния изследователски екип на Kaspersky Lab Костин Райу, вирусът Petya се е разпространил в много страни по света.